Cyber Resilience Act
Unijne rozporządzenie, które czyni cyberbezpieczeństwo wymogiem produktowym, jak bezpieczeństwo elektryczne: bez zgodności nie ma oznakowania CE.
Rozporządzenie (UE) 2024/2847 przyjęto jesienią 2024 roku i obejmuje ono wszystkie „produkty z elementami cyfrowymi”, od inteligentnych żarówek po oprogramowanie na komputery. Producenci muszą zarządzać podatnościami przez cały okres życia produktu, dostarczać aktualizacje bezpieczeństwa i prowadzić SBOM w dokumentacji technicznej. Od września 2026 roku aktywnie wykorzystywane podatności trzeba zgłaszać do ENISA w ciągu 24 godzin; pozostałe obowiązki obowiązują od grudnia 2027.
Projekt z 2022 roku czyniłby producentem każdego, kto wrzuca kod na GitHub, czemu głośno sprzeciwiły się m.in. Python Software Foundation i Eclipse. Ostateczny tekst wyłącza niekomercyjny open source i dodaje lżejszą rolę „opiekuna open source” dla fundacji wspierających projekty, na których inni budują produkty. Odpowiedzialność spada tam, gdzie są pieniądze — na sprzedawcę gadżetu IoT, a nie na autora biblioteki napisanej za darmo.